Topologi Jaringan Hub-and-Spoke

Topologi jaringan hub-dan-spoke adalah arsitektur jaringan Azure yang direkomendasikan untuk lingkungan perusahaan. Topologi ini terdiri dari VNet hub pusat yang menampung layanan jaringan bersama dan beberapa VNet spoke yang menampung beban kerja individual. Spoke terhubung ke hub melalui peering VNet. Topologi ini memusatkan kontrol keamanan, mengurangi kompleksitas jaringan, dan dapat diskalakan secara efisien saat beban kerja baru ditambahkan.

VNet hub adalah jaringan pusat yang menjadi tujuan koneksi semua VNet spoke. Biasanya, jaringan ini berisi:

• Azure Firewall — pemeriksaan terpusat terhadap lalu lintas keluar dan lalu lintas timur-barat
• VPN Gateway atau ExpressRoute Gateway — konektivitas ke lingkungan lokal
• Azure Bastion — akses RDP/SSH yang aman ke VMs tanpa IP publik
• zona privat Azure DNS — resolusi DNS privat terpusat
• sumber daya pemantauan jaringan — pemantau koneksi dan log aliran

Setiap VNet spoke menampung satu beban kerja atau sekumpulan beban kerja yang saling terkait erat. Contohnya: Spoke 1 — aplikasi web Production; Spoke 2 — platform analitik data; Spoke 3 — lingkungan pengembangan/pengujian. Mengisolasi beban kerja dalam spoke terpisah menyediakan batas jaringan di antara beban kerja tersebut. Jika satu beban kerja disusupi, penyerang tidak dapat langsung berpindah ke VNet beban kerja lain tanpa melewati Firewall hub.

VNet hub dan spoke terhubung melalui peering VNet, yang menyediakan konektivitas privat dengan latensi rendah tanpa merutekan lalu lintas melalui internet publik. Anda harus membuat peering dalam kedua arah: hub-ke-spoke dan spoke-ke-hub. Lalu lintas spoke-ke-spoke tidak dirutekan secara langsung — lalu lintas tersebut melewati hub, sehingga Firewall hub dapat memeriksa dan mengendalikan komunikasi antarspoke.

Secara default, peering VNet tidak memaksa lalu lintas melewati Azure Firewall — lalu lintas dirutekan secara langsung antar-VNet. Untuk memeriksa lalu lintas spoke-ke-spoke dan spoke-ke-internet melalui Firewall hub, Anda harus mengonfigurasi Rute yang Ditentukan Pengguna (UDR) di setiap subnet spoke agar mengarahkan gateway default (0.0.0.0/0) ke alamat IP privat Firewall. Dengan demikian, semua lalu lintas keluar dari spoke difilter oleh Firewall terpusat.

Azure Firewall di VNet hub menyediakan keamanan jaringan terpusat untuk semua spoke. Azure Firewall mendukung:

• aturan jaringan — mengizinkan atau menolak berdasarkan IP, port, dan protokol
• aturan aplikasi — mengizinkan atau menolak berdasarkan FQDN dan kategori HTTP
• aturan DNAT — menerjemahkan IP publik masuk menjadi IP privat backend
• kecerdasan ancaman — memblokir lalu lintas ke atau dari IP dan domain berbahaya yang telah diketahui

Satu Azure Firewall dapat melayani semua VNet spoke, sehingga mengurangi biaya dan beban pengelolaan dibandingkan dengan menerapkan Firewall individual di setiap spoke.

DNS terpusat sangat penting dalam arsitektur hub-dan-spoke. Terapkan zona privat Azure DNS yang ditautkan ke VNet hub, lalu konfigurasikan VNet spoke untuk menggunakan server DNS hub (atau DNS yang disediakan Azure dengan pendaftaran otomatis). Dengan demikian, VMs di semua spoke dapat menemukan nama satu sama lain serta nama layanan Azure PaaS melalui endpoint privat menggunakan konfigurasi DNS yang konsisten.

Salah satu keunggulan utama hub-dan-spoke adalah konektivitas ke lingkungan lokal dipusatkan di hub. Satu VPN Gateway atau ExpressRoute Gateway di VNet hub menyediakan konektivitas bagi semua beban kerja spoke untuk mengakses sistem di lingkungan lokal. Beban kerja spoke tidak memerlukan gateway sendiri — beban kerja tersebut mengakses sumber daya di lingkungan lokal melalui gateway hub melalui peering, sehingga biaya dan kompleksitas berkurang secara signifikan.

Hub-dan-spoke dapat diskalakan secara alami: menambahkan beban kerja baru berarti membuat VNet spoke baru, melakukan peering ke hub, dan menerapkan UDR untuk merutekan lalu lintas melalui Firewall hub. Layanan hub (Firewall, gateway, DNS, Bastion) digunakan bersama oleh semua spoke. Azure Virtual WAN adalah layanan hub-dan-spoke terkelola Microsoft yang mengotomatiskan peering, perutean, dan pengelolaan gateway untuk penerapan yang sangat besar dengan banyak VNet spoke.

Jaringan datar (satu VNet besar dengan semua komponen di dalam subnet) lebih sederhana untuk memulai, tetapi menjadi sulit dikelola dan diamankan dalam skala besar. Dalam jaringan datar, semua beban kerja berbagi ruang alamat yang sama dan hanya dipisahkan oleh NSG. Hub-dan-spoke menyediakan isolasi yang lebih kuat (batas VNet lebih sulit dilintasi daripada aturan NSG), kontrol keamanan terpusat, dan tata kelola yang lebih jelas karena setiap spoke dapat dikelola secara independen.

Biaya utama hub-dan-spoke di luar sumber daya beban kerja meliputi:

• Azure Firewall — dikenai biaya per jam penerapan ditambah biaya pemrosesan data
• VPN/ExpressRoute Gateway — dikenai biaya per jam gateway ditambah biaya bandwidth
• peering VNet — dikenai biaya per GB data yang ditransfer melalui tautan peering

Meskipun terdapat biaya tersebut, pemusatan layanan di hub biasanya lebih murah daripada menerapkan Firewall, gateway, dan server DNS terpisah di setiap spoke.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa topologi hub-dan-spoke memusatkan layanan jaringan bersama (Firewall, gateway, DNS) di VNet hub, sementara beban kerja berada di VNet spoke yang terpisah; peering VNet menghubungkan spoke ke hub dengan UDR yang merutekan lalu lintas melalui Firewall hub; dan topologi ini dapat diskalakan secara efisien dengan menggunakan layanan platform secara bersama di semua spoke. Selanjutnya, kita akan membahas desain identitas dan akses perusahaan dengan RBAC dan Privileged Identity Management.